CVE-2024-38885
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu nieautoryzowany dostęp przy użyciu znanych poświadczeń systemu operacyjnego z powodu zakodowanych na stałe poświadczeń użytkownika SQL w aplikacji klienckiej.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do bazy danych i potencjalnej kradzieży lub modyfikacji danych, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować system Caterease do najnowszej wersji, która usuwa zakodowane na stałe poświadczenia, oraz zmienić wszystkie domyślne hasła SQL.
Inne podatności w Caterease
Zobacz wszystkie- CVE-2024-38887Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu rozszerzenie kontroli nad systemem operacyjnym z poziomu bazy danych. Wynika to z wykonywania poleceń z niepotrzebnie wysokimi uprawnieniami.
- CVE-2024-38889Krytyczne
Podatność SQL Injection w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych. Atakujący zdalnie może wstrzyknąć złośliwe polecenia SQL z powodu niewłaściwego neutralizowania specjalnych elementów w zapytaniach.
- CVE-2024-38886Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu przeprowadzenie ataku polegającego na wstrzyknięciu ruchu sieciowego. Problem wynika z nieprawidłowej weryfikacji źródła kanału komunikacyjnego.
- CVE-2024-38883Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu obniżenie poziomu szyfrowania podczas negocjacji połączenia. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38882Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) umożliwia zdalnemu atakującemu wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie SQL. Problem wynika z nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniach systemowych.
- CVE-2024-38891Wysokie
Podatność w oprogramowaniu Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu przechwycenie ruchu sieciowego z powodu przesyłania wrażliwych informacji w postaci jawnego tekstu. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38888Średnie
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (oraz prawdopodobnie późniejszych) umożliwia lokalnemu atakującemu przeprowadzenie ataku brute force na hasła z powodu braku ograniczenia liczby nieudanych prób logowania.
- CVE-2024-38884Wysokie
Podatność w systemie Caterease umożliwia lokalnemu atakującemu ominięcie mechanizmów uwierzytelniania z powodu nieprawidłowo zaimplementowanych kontroli bezpieczeństwa. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38881Wysokie
Podatność w systemie Caterease od wersji 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) wynika z przechowywania haseł użytkowników w postaci jednokierunkowych skrótów bez użycia soli. Umożliwia to zdalnemu atakującemu przeprowadzenie ataku z użyciem tablic tęczowych w celu odzyskania haseł.
Oryginalny opis (angielski, źródło NVD)
An issue in Horizon Business Services Inc. Caterease 16.0.1.1663 through 24.0.1.2405 and possibly later versions, allows a remote attacker to perform unauthorized access using known operating system credentials due to hardcoded SQL user credentials in the client application.